Sei un responsabile della sicurezza informatica nella tua azienda. Sono le 18:30 di venerdì, alla vigilia di un lungo weekend. Proprio mentre stai per salire su un aereo per andare in vacanza con la tua famiglia, squilla il telefono: è il tuo team SecOps. I tuoi sistemi IT in tutto il mondo stanno iniziando a non rispondere più e ci sono segnali che indicano che sei vittima di un attacco ransomware.
In quel momento, la differenza tra caos e controllo si riduce a questi fattori chiave: la rapidità della reazione e l’efficacia della Recovery. Una reazione tempestiva potrebbe limitare i danni. Ma se la Recovery reintroduce dati infetti, ci si ritrova al punto di partenza.
Le strategie tradizionali di Backup and Recovery non sono più efficaci di fronte alle minacce odierne. Le organizzazioni hanno bisogno di un piano che combini il rilevamento delle minacce in tempo reale con un ripristino pulito e convalidato. Questo è il fondamento della vera resilienza informatica. L’equazione è semplice ma efficace: Commvault® Cloud Threat Scan + Cleanroom™ Recovery = Cyber Confidence.
Gli autori degli attacchi ransomware stanno diventando sempre più sofisticati, mentre le organizzazioni faticano a stare al passo. Secondo una ricerca del 2024, il tempo più breve trascorso tra il rilevamento e l’impatto è stato di 27 minuti. Ciò significa che la vostra organizzazione potrebbe avere meno di mezz’ora a disposizione dal primo avviso a una potenziale paralisi dell’intero sistema.
In uno scenario così critico, ogni minuto è fondamentale. Ogni ritardo aumenta i rischi di perdita di dati, tempi di inattività prolungati, problemi normativi e perdita di fiducia da parte dei clienti. In questa guida vi mostreremo come Commvault vi aiuti a passare da una Recovery reattiva a una risposta coordinata e sicura.
Cosa succede dopo l’allarme?
Quando si verifica un attacco informatico, il rilevamento è solo l’inizio. La vera sfida sta in ciò che viene dopo: il Recovery. In teoria, i backup dovrebbero rappresentare la vostra rete di sicurezza. Ma nella pratica, possono trasformarsi in vettori silenziosi di infezione. Poiché la maggior parte degli hacker prende di mira i vostri dati, il Recovery cieco dei backup comporta rischi intrinseci, come la reintroduzione di malware nel vostro ambiente.
Ecco perché i moderni strumenti di Recovery puliscono i punti di Recovery. È necessaria Threat Scan.
Threat Scan: il vostro alleato affidabile per il recupero di dati puliti
Commvault Cloud Threat Scan vi aiuta a recuperare e ripristinare rapidamente dati integri, evitando con competenza le minacce e consentendovi di mettere automaticamente in quarantena i dati potenzialmente dannosi. Ma cosa si intende esattamente per “dati dannosi”? E come si fa a capire se i dati sono integri?
Anziché considerare ogni backup come affidabile, Threat Scan analizza continuamente i backup dei dati per individuare eventuali minacce nascoste. Utilizza il rilevamento delle anomalie, la scansione alla ricerca di malware, l’analisi della crittografia e segnali provenienti da terze parti per classificare i punti di ripristino con un elevato grado di affidabilità.
Ecco le funzionalità principali di Threat Scan:
- Rilevamento delle anomalie: i clienti eseguono generalmente il backup dei propri dati a cadenza periodica. Alcuni lo fanno quotidianamente, mentre altri ogni due settimane. Threat Scan monitora la presenza di modelli insoliti nell’attività di backup, come picchi imprevisti nel volume dei dati, operazioni di backup al di fuori degli orari prestabiliti o cambiamenti improvvisi nei tipi di dati. Queste anomalie fungono spesso da indicatori precoci di una compromissione.
- Rilevamento della crittografia: uno dei pilastri fondamentali di Threat Scan è la sua capacità avanzata di rilevare i dati crittografati dal ransomware. Il sistema analizza i metadati dei file e i modelli di casualità per identificare i segni di una crittografia dannosa.
A differenza dei metodi tradizionali che si basano esclusivamente sull’entropia, Threat Scan utilizza un’analisi più approfondita della composizione dei file per distinguere tra crittografia legittima e attività di ransomware. Addestrato su diversi set di dati e comportamenti di crittografia, garantisce un rilevamento rapido con un numero ridotto di falsi positivi, anche per le minacce emergenti di tipo zero-day. - Indagine sulle cause alla radice e scansione integrata del malware: Threat Scan non si limita al rilevamento, ma risale alla fonte dei file infetti, aiutando i team a identificare il “paziente zero” e a comprendere la portata dell’attacco. Il file che ha causato l’infezione, noto anche come fonte della crittografia, viene rilevato grazie a soluzioni antivirus integrate leader del settore.
- Integrazione con l’ecosistema di sicurezza di terze parti: le integrazioni con partner quali CrowdStrike, Darktrace, Cisco e Netskope consentono a Commvault di rilevare gli incidenti provenienti da piattaforme di sicurezza esterne e di contrassegnare come vulnerabili i dispositivi o i dati associati. Questi eventi rilevati vengono quindi visualizzati sulla piattaforma Commvault in relazione alle risorse o agli asset in cui si è verificato l’incidente. Ciò rafforza il ciclo di feedback tra rilevamento e Recovery.
- Ripristino della classificazione durante il backup: man mano che vengono creati i backup, i dati vengono automaticamente contrassegnati come integri o compromessi, creando una cronologia di Recovery in tempo reale. Ciò consente ai team di selezionare con sicurezza il punto corretto da cui eseguire il ripristino.
Integrazione con SIEM e SOAR per una completa automazione
In uno scenario di risposta rapida vero e proprio, la velocità e la precisione sono fondamentali per la sicurezza dei dati inestimabili di un’organizzazione. Allo stesso modo, ogni fase del percorso di Recovery, dal rilevamento delle anomalie all’identificazione dell’infezione, è essenziale dal punto di vista della sicurezza.
Pertanto, Commvault offre la possibilità di condividere questi eventi critici per la sicurezza con i team addetti alle operazioni di sicurezza (SecOps) tramite integrazioni SIEM (Security Information and Event Management) e di intraprendere azioni tramite integrazioni SOAR (Security Orchestration, Automation, and Response).
In primo luogo, quando Threat Scan rileva delle anomalie – malware, eventi di crittografia o comportamenti sospetti relativi ai backup – invia immediatamente gli eventi di sicurezza a queste piattaforme tramite connettori dedicati (SIEM e webhook).
Inoltre, grazie alle integrazioni con potenti piattaforme SOAR quali Splunk, Microsoft Sentinel e Palo Alto Networks XSOAR, Commvault consente ai team SecOps di ottenere informazioni utili e automatizzare i flussi di lavoro di risposta utilizzando playbook preconfigurati (sviluppati in collaborazione con Commvault) per intervenire: mettere in quarantena i dati infetti, conservare le versioni di backup o avviare flussi di lavoro di Recovery.
Recupero in Cleanroom
Cleanroom Recovery è un ambiente sicuro e isolato, disponibile su richiesta, che consente alle organizzazioni di preparare, convalidare ed eseguire il ripristino informatico, garantendo la continuità operativa. Grazie a Cleanroom Recovery, le organizzazioni possono testare in tutta sicurezza i piani di ripristino informatico, condurre analisi forensi sicure e attuare il ripristino della produzione per garantire la continuità operativa a seguito di un attacco.
Quando si tratta di ripristinare i dati, specialmente negli ambienti di produzione, nemmeno la qualifica “pulito” è sufficientemente accurata. Nonostante i dati siano già contrassegnati come puliti o compromessi, i clienti vorranno comunque che i propri team di sicurezza analizzino i dati ed eseguano le analisi forensi richieste.
Grazie all’ultima integrazione, la funzione Threat Scan di Cleanroom Recovery offre ora servizi di rilevamento e analisi delle minacce post-Recovery, oltre a un Recovery sicuro. Ciò contribuirà a rafforzare la fiducia dei team di sicurezza e IT nella capacità di ripristinare il sistema dopo un incidente informatico.
Consideratela come un’autenticazione a due fattori nel Recovery dei dati. Cleanroom Recovery offre al vostro team la possibilità di verificare nuovamente i dati dopo il Recovery. Solo quando il team è certo della correttezza dei dati, questi vengono trasferiti in produzione, garantendo così non solo un Recovery rapido, ma anche accurato.
Organizzare una Recovery rapida e sicura
Quando ogni secondo è fondamentale e il futuro della vostra organizzazione è in gioco, la fiducia è tutto. La gestione della Recovery di Commvault non si limita a ripristinare i dati, ma lo fa in modo intelligente e sicuro. Grazie all’analisi dei metadati e dell’entropia dei file basata sull’intelligenza artificiale, la piattaforma mette automaticamente in quarantena i file sospetti e individua l’ultima copia integra conosciuta. Ciò significa che i team non perdono ore preziose a formulare ipotesi, ma ripristinano rapidamente i dati integri.
Inoltre, l’impatto sul business è innegabile. La sofisticata soluzione di Commvault contribuisce a ridurre i tempi di inattività, aumentando la fiducia nei processi di Recovery e prevenendo la reinfezione dei loro ambienti.
Ecco come si presenta la resilienza informatica moderna: rilevamento rapido delle minacce, ambienti isolati per i test e la preparazione delle procedure di Recovery, e automazioni che aiutano i vostri team a riprendersi rapidamente in seguito agli attacchi.
